Разработчики приложений обнаружили уязвимость в функции копирования и вставки текста в операционной системе iOS. Оказалось, что ряд популярных приложений, включая TikTok и Viber, имеют постоянный доступ к буферу обмена владельца iPhone, в котором могут содержаться и пароли, и даже номер банковской карты пользователя.
Разработчики приложений Томми Миск и Талал Хадж Бакри опубликовали исследование, в котором подробно описывают крупную уязвимость в системе копирования и вставки, более известную как «копипаст», в операционной системе iOS. Оказалось, что Apple предоставляет приложениям возможность «читать» информацию, которая хранится в буфере обмена.
Этой возможностью пользуются несколько десятков популярных программ для iPhone и iPad, которые потенциально получают доступ к данным, не предназначенным для третьих лиц — не секрет, что юзеры иногда копируют пароли, цифры с банковских карт или данные паспорта из одного места для того, чтобы вставить их в анкету в другом.
«Мы провели исследование многих популярных в App Store приложений и обнаружили, что они часто получают доступ к буферу обмена без ведома пользователя. Полученные данные подтверждают, что многие сервисы «читают» информацию из буфера обмена», — пишут Миск и Бакри.
В списке приложений, которые имеют доступ к буферу обмена, значатся социальные сети TikTok, Viber и Weibo, популярные игры Plants vs. Zombies Heroes, PUBG Mobile и Fruit Ninja, а также AliExpress.
Кроме того, личную информацию, скопированную пользователем, может получить большое количество зарубежных новостных приложений — ABC News, Accuweather, CBS News, CNBC, The New York Times, Fox News, NPR, The Huffington Post и Vice News.
Стоит отметить, что нет никаких доказательств того, что вышеобозначенные приложения каким-то образом злоупотребили полученными пользовательскими данными. Исследование лишь показывает, что у этих сервисов есть доступ к конфиденциальной информации, который был получен без ведома пользователя.
В феврале Томми Миск и Талал Хадж Бакри рассказали о похожей уязвимости в iOS, также затрагивающей буфер обмена.
Они обнаружили, что приложения, получившие к нему доступ, могли узнать GPS-координаты владельца устройства Apple.
Это происходило в тот момент, когда пользователь делал фотографию с помощью стандартного приложения «Камера».
По словам исследователей, они обратились со своими находками в Apple, но в компании им сообщили, что «не видят проблему в этой уязвимости». Теперь Миск и Бакри надеются, что их второе исследование сможет побудить «яблоко» принять какие-то меры на этот счет.
«Неизвестно, что эти приложения делают с данными пользователя. Чтобы они не могли злоупотребить своим положением, Apple должна решить эту проблему», — заявили разработчики.
В начале февраля 2020 года исследователь кибербезопасности Гэл Вайзман сообщил об обнаружении уязвимости в мессенджере WhatsApp.
Речь шла о бреши в системе безопасности мессенджера, которая позволяла злоумышленникам получить доступ к личным данным жертвы через десктопную версию — как для Windows, так и для MacOS.
Обнаруженная уязвимость позволяла удаленно получить доступ к локальным файлам компьютера. Для осуществления атаки хакеру требовалось отправить пользователю всего одно сообщение, которое на деле является замаскированной гиперссылкой. Злоумышленник мог подделать ссылку так, чтобы она была очень похожей на адрес популярного ресурса, при этом окошко с предпросмотром ссылки также выглядело бы аутентично.
При переходе пользователя WhatsApp по поддельной ссылке осуществлялся запрос указанного злоумышленником файла, который открывался на чтение, при этом сам пользователь мог быть переадресован на сайт популярного ресурса.